Bouygues Telecom corrige un problème de sécurité dans PlayinTV

L’option Playin’TV de Bouygue Telecom aurait pu servir à des actions malveillantes. Heureusement, l’opération a corrigé le tir en deux temps, trois mouvements via le Protocole d’Alerte de ZATAZ.

L’opérateur téléphonique Bouygues Telecom propose en plus d’un abonnement Internet une « Box » qui permet l’accès à des chaines supplémentaires depuis sa télévision. Cette Box est connectée à internet, et permet en plus d’avoir des chaines supplémentaires de pouvoir voir des séries en Replay, jouer à deux jeux, et d’autres services. Parmi ces services, l’option Playin’TV. Elle permet de jouer directement sur votre téléviseur avec votre télécommande ! Des jeux à volonté, pour tous les goûts, accessibles 24h/24.

L’alerte nous a été communiqué par « Kevin ». Le jeune homme s’est étonné de l’étrange comportement de sa box. Il faut dire aussi qu’un test de type Man In The Middle (MiTM) lui a laissé quelques aigreurs dans l’estomac. Ce MiTM lui a permis de récupérer les données qui transitent entre deux machines. Lors du test sur sa propre connexion, des requêtes FTP sont apparues. Comme le rappel Wikipedia, le File Transfer Protocol (protocole de transfert de fichiers), ou FTP, est un protocole de communication destiné à l’échange informatique de fichiers sur un réseau. Bref, que venez donc faire ce FTP dans une connexion entre une box d’un client et Internet. Rapidement, zataz a pu constater qu’il y avait « conversation » entre les clients de Bouygues souhaitant jouer et l’espace de stockage des jeux vidéo. Plus inquiétant, le mot de passe et le login de connexion passait en clair. Un identifiant unique pour l’ensemble des utilisateurs. Maintenant que Bouygues Telecom a corrigé, nous pouvons révéler que ce « précieux » sésame était « léger ». Le login et le mot de passe contenant 6 lettres minuscules, sans chiffres, majuscules ou autres signes de ponctuations. Ainsi, n’importe quelle personne disposant d’un peu de connaissances en informatique et disposant d’un décodeur Bouygues Telecom pouvait avoir accès à ces logs, et ainsi s’introduire dans le serveur gérant les différents jeux. Une fois connectée au serveur FTP, il était possible de lire des données utilisées par les jeux et par l’application. « Il était aussi possible de les modifier » confirme Kévin. Une personne malveillante aurait pu changer toutes les données du serveur, pouvant engendrer des modifications sur la télévision de l’utilisateur. « Il était aussi possible d’accéder aux jeux -normalement payants- gratuitement« .

Un protocole d’alerte de ZATAZ qui n’aura pas durée plus de 2 jours. L’équipe de Bouygues Télécom aura été particulièrement efficace à confiner et bloquer ce problème. « Aucune donnée personnelle et/ou sensible pour nos clients transitait par cette connexion » souligne l’équipe de BT à ZATAZ.COM. Un filtrage ne permettant qu’aux adresses IP Bouygues Telecom de se connecter au service ont été mis en place. » Les droits en lecture seule du répertoire ont été rajoutés, ne permettant plus à ce jour une quelconque écriture. Depuis, une surveillance a été mise en place sur le flux de PlayTV et une autre pour pallier des erreurs de manipulation humaine.

A la connaissance de ZATAZ aucun pirate n’avait notre information. Les clients Bouygues peuvent retourner jouer en toute tranquillité.